本文介绍一种更安全、简洁且无需创建mysql事件的方式，通过php端时间校验实现密码重置token的15分钟自动过期，避免数据库定时任务的复杂性与权限风险。
本文介绍一种更安全、简洁且无需创建mysql事件的方式，通过php端时间校验实现密码重置token的15分钟自动过期，避免数据库定时任务的复杂性与权限风险。
在用户密码找回流程中，为保障安全性，临时Token必须具备明确的有效期（如15分钟），但直接依赖MySQL Event自动清理数据并非推荐方案——它不仅需要数据库EVENT权限（生产环境常被禁用），还存在事件调度延迟、单次触发无法精准匹配单条记录、以及调试困难等问题。
更优解是：将过期逻辑完全交由应用层控制，在验证Token时实时判断时间有效性。数据库仅需存储原始时间戳（如 expiracao DATETIME），无需任何后台清理动作。
✅ 推荐实现步骤
-
生成Token时记录精确过期时间
使用DATE_ADD(NOW(), INTERVAL 15 MINUTE)写入expiracao字段，确保时间可精确比对：
$expireAt = date('Y-m-d H:i:s', time() + 15 * 60);
$query = "UPDATE login
SET recuperar_senha = :token, expiracao = :expire_at
WHERE id = :id LIMIT 1";
$stmt = $conn->prepare($query);
$stmt->bindParam(':token', $token, PDO::PARAM_STR);
$stmt->bindParam(':expire_at', $expireAt, PDO::PARAM_STR);
$stmt->bindParam(':id', $enviar['id'], PDO::PARAM_INT);
$stmt->execute();-
验证Token时严格校验时间有效性
在atualizar_senha.php中，查询记录后立即检查是否过期：
// 假设已从URL获取 $token
$stmt = $conn->prepare("SELECT id, recuperar_senha, expiracao FROM login WHERE recuperar_senha = :token");
$stmt->bindParam(':token', $token, PDO::PARAM_STR);
$stmt->execute();
$user = $stmt->fetch(PDO::FETCH_ASSOC);
if (!$user) {
die("Link inválido ou expirado.");
}
// 检查是否超时（注意：使用数据库时间或PHP时间需统一；推荐用PHP time() + 服务端时区一致性）
$expiresAt = strtotime($user['expiracao']);
if (time() > $expiresAt) {
// 清理已过期Token（可选，提升数据整洁性）
$cleanup = $conn->prepare("UPDATE login SET recuperar_senha = '', expiracao = NULL WHERE id = :id");
$cleanup->bindParam(':id', $user['id'], PDO::PARAM_INT);
$cleanup->execute();
die("Link expirado. Por favor, solicite um novo.");
}
// ✅ Token válido — 允许进入重置流程⚠️ 关键注意事项
-
时区一致性：确保PHP
date_default_timezone_set('America/Sao_Paulo')与MySQLtime_zone设置一致，否则时间比对会出错； -
Token一次性使用：验证成功后必须立即清空
recuperar_senha和expiracao，防止重复利用：$reset = $conn->prepare("UPDATE login SET recuperar_senha = '', expiracao = NULL WHERE id = :id"); $reset->bindParam(':id', $user['id'], PDO::PARAM_INT); $reset->execute(); -
避免
NOW()陷阱：原代码中WHERE expiracao = NOW() + 15 MINUTE是错误写法——NOW()是动态函数，无法用于精确匹配某条记录的固定过期时间；应改用静态时间戳比对； -
不建议使用MySQL Event：除权限问题外，Event无法参数化（不能绑定
:id），难以针对单用户触发，且失败不易监控。
✅ 总结
放弃“用MySQL Event自动删除”的思路，转而采用「存储过期时间 + 应用层即时校验」模式，是更轻量、更可靠、更符合Web应用分层原则的设计。它降低数据库耦合度，提升可测试性与可维护性，同时完全满足安全合规要求。真正的过期控制，永远发生在请求到达的那一刻——而非后台不可见的定时任务。
